Microsoft 365 Alternative: DSGVO-konform in Österreich und Deutschland
Viele Betriebe in Österreich und Deutschland fragen sich, ob sie mit Microsoft 365 (früher Office 365) datenschutzrechtlich auf der sicheren Seite sind. Hier finden Sie eine sachliche Einordnung, die Prüfpunkte für eine Alternative und einen Weg für den Umstieg, ohne Panikmache.
Das Wichtigste in Kürze
- Es gibt kein pauschales Verbot von Microsoft 365. Aufsichtsbehörden bewerten den Einsatz uneinheitlich. Ob er bei Ihnen vertretbar ist, hängt vom Einzelfall ab.
- Eine Alternative prüfen Sie nach Sitz des Anbieters, Standort der Daten, Unterauftragnehmern, Vertrag und Exportmöglichkeit. Ein EU-Sitz allein reicht nicht.
- Für KMU kommen gehostete EU-Anbieter, Open-Source-Bausteine zum Selbstbetrieb oder ein gemeinsamer Arbeitsplatz wie oawad in Frage.
- Beim Umstieg stellen Sie die E-Mail-Zustellung zuletzt um und kündigen erst nach dem Datenexport.
Warum Betriebe nach einer Alternative suchen
Microsoft 365 bündelt E-Mail, Kalender, Dateien, Chat und Büroprogramme. Dass Betriebe trotzdem eine Alternative suchen, hat meist drei Gründe:
- Datenschutz-Unsicherheit. Sie wollen Kundendaten und Geschäftspost so ablegen, dass Sie das gegenüber Kunden und Behörden erklären können.
- Abhängigkeit. Daten, Formate und Preise liegen bei einem einzigen Anbieter.
- Kosten. Lizenzen und Zusatzprodukte summieren sich je Mitarbeiter. Mehr dazu in unserem Beitrag zu SaaS-Kosten.
Die Datenschutzkonferenz (DSK) der deutschen Aufsichtsbehörden hielt 2022 einen datenschutzkonformen Betrieb auf Basis des damaligen Vertragswerks für nicht nachweisbar. Spätere Stellungnahmen einzelner Behörden fallen differenzierter aus. Nach Berichten hält etwa der hessische Datenschutzbeauftragte einen Betrieb unter bestimmten Voraussetzungen für möglich. Die österreichische Datenschutzbehörde traf 2025 eine Entscheidung zu Microsoft 365 Education nach einer Beschwerde. Sie betraf Schulen und lässt sich nicht einfach auf Unternehmen übertragen.
Fazit: Die Lage ist uneinheitlich. Wer wechseln möchte, braucht dafür keinen Verbotsgrund. Es genügt, dass Sie die Datenhoheit selbst in der Hand behalten wollen.
Was der US CLOUD Act für Ihre Daten bedeutet
Der CLOUD Act ist ein US-Gesetz von 2018. Er erlaubt US-Behörden, von US-Anbietern Daten herauszuverlangen, die sich in deren Besitz oder unter deren Kontrolle befinden. Nach verbreiteter Auslegung gilt das auch dann, wenn die Daten in einem Rechenzentrum in der EU liegen und der Anbieter dort eine Tochterfirma betreibt.
Das heißt nicht, dass solche Zugriffe stattfinden. Microsoft betont, einen solchen Fall bisher nicht gehabt zu haben. Allerdings erklärte Microsoft France im Juni 2025 vor dem französischen Senat, eine Nichtweitergabe an US-Behörden nicht garantieren zu können. Ein Rechenzentrum in der EU, wie es etwa die „EU Data Boundary“ von Microsoft vorsieht, regelt, wo Daten liegen. Es ändert nichts daran, dass der Anbieter ein US-Unternehmen ist.
Für Übermittlungen in die USA stützen sich viele Anbieter auf das EU-US Data Privacy Framework. Das Gericht der EU hat eine Klage dagegen im September 2025 abgewiesen, der Beschluss gilt damit weiter. Ein Berufungsverfahren beim Europäischen Gerichtshof ist anhängig. Wie es ausgeht, lässt sich heute nicht sagen.
Woran Sie eine DSGVO-taugliche Alternative erkennen
Ein europäischer Firmensitz oder ein Rechenzentrum in der EU allein garantiert noch keine DSGVO-Konformität. Prüfen Sie jeden Anbieter einzeln:
- Sitz und Eigentümer: Wem gehört der Anbieter? Gibt es eine Mutterfirma außerhalb der EU?
- Standort der Daten: Wo liegen Daten, Sicherungen und Protokolle? Von wo greift der Support zu?
- Auftragsverarbeitungsvertrag (AVV): Gibt es ihn nach Art. 28 DSGVO, und ist er leicht abzuschließen?
- Unterauftragnehmer: Welche weiteren Firmen verarbeiten Ihre Daten, und wo sitzen sie?
- Export und Löschung: Kommen Sie jederzeit in offenen Formaten an alle Daten? Wird auf Wunsch wirklich gelöscht?
- Vertragspartner, Gerichtsstand und Recht: Mit wem schließen Sie den Vertrag, welches Recht gilt, und wo liegt der Gerichtsstand?
- Support: In welcher Sprache und aus welchem Land erhalten Sie Hilfe, und wer hat dabei Zugriff auf Ihre Daten?
- Nachprüfbarkeit: Ist der Quellcode einsehbar, oder nennt der Anbieter wenigstens seine Technik und Standorte offen?
Welche Alternativen es für KMU gibt
Die folgende Übersicht zeigt, welche Arten von Lösungen es gibt. Sie ist keine Rangliste, denn die beste Wahl hängt von Ihrer Größe und Ihrem IT-Wissen ab.
| Lösung | Schwerpunkt | Betrieb | Passt, wenn … |
|---|---|---|---|
| mailbox.org | E-Mail, Kalender, Kontakte, Aufgaben; Chat ab dem Tarif Standard | Vom Anbieter gehostet, Rechenzentrum in Berlin | Sie vor allem E-Mail und Termine ersetzen wollen |
| Nextcloud | Dateien und Zusammenarbeit; E-Mail über einen separaten Server | Selbst betrieben oder bei Partnern | Sie IT-Wissen haben oder einen Dienstleister beauftragen |
| openDesk | Gebündelte Open-Source-Bausteine für Mail, Kalender, Chat, Dateien, Dokumente und Video | Betreiberunabhängig, Zielgruppe ist die öffentliche Verwaltung | Sie umfangreiche Anforderungen und ein Betriebsteam haben |
| oawad | E-Mail, Chat, Kalender, Dateien und Aufgaben, nach Kunden geordnet | In Entwicklung, noch nicht verfügbar. Für Sie in der EU betrieben oder selbst betreibbar | Die Arbeit mit Kunden und Projekten im Mittelpunkt steht |
Angaben nach den Herstellerseiten (mailbox.org: Preise, Nextcloud: Preise, openDesk). Funktionen und Tarife ändern sich, bitte prüfen Sie sie beim Anbieter.
Was Microsoft 365 bei Ihnen heute erledigt
Bevor Sie wechseln, schreiben Sie auf, welche Teile von Microsoft 365 Ihr Betrieb wirklich nutzt. Oft ist das weniger, als die Lizenz hergibt.
| Microsoft-Dienst | Aufgabe | Möglicher Ersatz |
|---|---|---|
| Outlook, Exchange | E-Mail, Kalender, Kontakte | Gehosteter Mail-Dienst oder eigener Mailserver (z. B. mailcow, Grommunio) mit allgemein verbreiteten Standards |
| Teams | Chat, Videoanrufe | Chat-Lösung (z. B. Element oder Mattermost) und Videokonferenz (z. B. Jitsi) |
| SharePoint, OneDrive | Dateien ablegen und teilen | Nextcloud oder die Dateifunktion einer Suite |
| Word, Excel | Dokumente und Tabellen | Collabora Online, ONLYOFFICE oder lokale Programme wie LibreOffice |
| Planner, To Do | Aufgaben | Aufgabenfunktion der Suite oder ein Projekttool |
Kostenlos und aus Europa: Was realistisch ist
Wer nach „Office 365 Alternative kostenlos“ oder „Microsoft 365 Alternative Europa“ sucht, meint oft zwei verschiedene Dinge:
- Büroprogramme (Word, Excel): Hier gibt es kostenlose Programme wie LibreOffice. Sie ersetzen die Dokumentbearbeitung, aber nicht E-Mail, Kalender, Dateiablage und Chat.
- Gemeinsame Arbeitsumgebung: Ein Mailserver, Dateiablage und Chat aus Open-Source-Bausteinen sind ohne Lizenzgebühr möglich. Dafür fallen Betrieb, Updates, Backups und Support an, entweder als eigene Arbeitszeit oder als Dienstleistung.
„Kostenlos“ heißt also meist: Sie bezahlen nicht für die Lizenz, sondern für den Betrieb. „Aus Europa“ ist ein Hinweis auf den Sitz des Anbieters, ersetzt aber nicht die Prüfpunkte weiter oben (Datenort, Unterauftragnehmer, Vertrag). Mehr zum Selbstbetrieb finden Sie in Open-Source-Workspace selbst betreiben.
Der Umstieg in sechs Schritten
- Bestandsaufnahme: Welche Dienste, Postfächer, Gruppen und Freigaben gibt es? Wer nutzt was?
- Anforderungen festlegen: Was muss, was kann entfallen? Denken Sie an Archiv, Mobilgeräte und Gäste wie den Steuerberater.
- Testgruppe bilden: Zwei bis drei Personen arbeiten zuerst in der neuen Umgebung.
- Daten übernehmen: E-Mails, Kalender, Kontakte und Dateien migrieren. Prüfen Sie stichprobenartig, ob alles angekommen ist.
- E-Mail-Zustellung zuletzt umstellen: Erst wenn alles läuft, ändern Sie den Eintrag Ihrer Domain für den Mailempfang. So geht keine Post verloren.
- Alte Lizenzen erst nach dem Export kündigen: Sichern Sie vorher alles, auch was Sie für Aufbewahrungsfristen brauchen (siehe E-Mails archivieren).
Häufige Fragen
Verstoße ich gegen die DSGVO, wenn ich Microsoft 365 für Kundendaten nutze?
Das lässt sich nicht pauschal sagen. Es hängt davon ab, wie Sie das Produkt einsetzen, welche Verträge und Einstellungen Sie haben und welche Risiken Sie dokumentiert abgewogen haben. Typischerweise gehören ein Auftragsverarbeitungsvertrag und eine Prüfung der Datenübermittlungen dazu. Holen Sie im Zweifel fachliche Beratung ein.
Ist Microsoft 365 in Österreich oder Deutschland verboten?
Nein, es gibt kein allgemeines Verbot. Aufsichtsbehörden bewerten den Einsatz unterschiedlich, und die Entscheidung hängt vom konkreten Einsatz, den Verträgen und Ihrer Risikoabwägung ab. Holen Sie im Zweifel fachliche Beratung ein.
Was ist der Cloud Act, und betrifft er EU-Rechenzentren?
Der CLOUD Act erlaubt US-Behörden, von US-Anbietern Daten herauszuverlangen, die in deren Besitz oder unter deren Kontrolle sind. Nach verbreiteter Auslegung gilt das auch für Daten in EU-Rechenzentren von US-Konzernen. Ob und wie oft das geschieht, ist eine andere Frage.
Reicht ein EU-Rechenzentrum, damit eine Software DSGVO-konform ist?
Nein. Entscheidend sind außerdem Sitz und Eigentümer des Anbieters, der Auftragsverarbeitungsvertrag, die Unterauftragnehmer und Ihre eigene Nutzung. Prüfen Sie jeden Anbieter einzeln.
Funktionieren Outlook und mein Smartphone nach dem Umstieg weiter?
Das hängt vom Anbieter. Lösungen, die allgemein verbreitete Standards wie IMAP, CalDAV und CardDAV unterstützen, lassen sich meist mit vorhandenen Programmen und Geräten nutzen. Klären Sie das vorab in der Testphase.
Was ist der Unterschied zwischen Office 365 und Microsoft 365?
Microsoft hat Office 365 in mehreren Tarifen in Microsoft 365 umbenannt. Wer heute nach einer Office-365-Alternative sucht, meint in der Regel dasselbe Paket aus E-Mail, Dateien, Chat und Büroprogrammen.
Gibt es eine kostenlose Alternative zu Microsoft 365?
Für Büroprogramme ja, zum Beispiel LibreOffice. Für E-Mail, Kalender, Dateiablage und Chat gibt es Open-Source-Bausteine ohne Lizenzgebühr, die Sie selbst betreiben oder betreiben lassen. Dann zahlen Sie für Betrieb und Support statt für Lizenzen.
Welche europäische Alternative zu Outlook und Exchange gibt es?
Gehostete Dienste wie mailbox.org oder eigene Mailserver (z. B. mailcow, Grommunio) kommen in Frage. Prüfen Sie, ob IMAP, CalDAV und CardDAV unterstützt werden, damit Outlook und Smartphone weiter funktionieren.
Wie lange dauert der Umstieg?
Das hängt von Teamgröße, Datenmenge und Anforderungen ab. Planen Sie eine Testphase mit einer kleinen Gruppe ein und stellen Sie die E-Mail-Zustellung zuletzt um.
Wie oawad dazu passt
oawad ist ein gemeinsamer Arbeitsplatz für KMU: E-Mail, Chat, Kalender, Dateien und Aufgaben an einem Ort, nach Kunden und Projekten in Räumen geordnet. Die Daten liegen in der EU. Der Quellcode soll einsehbar sein (Lizenz AGPL-3.0 geplant), der Export erfolgt in offenen Formaten, und Sie können oawad auf Wunsch selbst betreiben. Anbieter ist die breida software GmbH in Vösendorf.
oawad befindet sich in Entwicklung und ist noch nicht verfügbar. Einen Termin nennen wir, sobald er feststeht.
Rechtshinweis: Dieser Beitrag gibt einen allgemeinen Überblick zum Stand November 2026 und ersetzt keine Rechts- oder Steuerberatung. Pflichten und Fristen können sich im Einzelfall unterscheiden oder ändern. Bitte klären Sie Ihren konkreten Fall mit Steuerberater:in oder Rechtsanwalt/-anwältin. Alle Angaben ohne Gewähr.